Creditcardbedrijf ICS krijgt AVG-boete wegens ontbreken risicoanalyse privacy

Creditcardmaatschappij ICS krijgt een AVG-boete van de Nederlandse Autoriteit Persoonsgegevens. Het bedrijf gebruikte gevoelige persoonsgegevens van klanten, zonder eerst een wettelijk verplichte analyse voor privacyrisico's uit te voeren.

De AVG-boete bedraagt 150.000 euro, zo meldt de Autoriteit Persoonsgegevens op dinsdag. ICS krijgt die boete opgelegd omdat het 'op grote schaal persoonlijke gegevens van klanten' gebruikte zonder een DPIA-risicoanalyse te hebben uitgevoerd. Met een dergelijke analyse moeten bedrijven in kaart brengen welke privacyrisico's gepaard gaan met het verzamelen van bepaalde persoonlijke gegevens. Het uitvoeren van een DPIA is verplicht onder artikel 35 lid 1 van de AVG.

De AP oordeelt dat ICS in 2019 een DPIA had moeten uitvoeren, omdat het toen begon met het digitaal identificeren van nieuwe klanten in Nederland. Volgens de AP deed het bedrijf dat met ongeveer 1,5 miljoen mensen. Het ging daarbij ook om gevoelige gegevens, zo stelt de privacytoezichthouder. Naast namen, adressen, telefoonnummers en e-mailadressen, ging het bijvoorbeeld om foto's van klanten. Klanten moeten foto's van zichzelf ter identiteitsverificatie opsturen naar ICS bij het aanvragen van een creditcard. ICS gebruikte die foto's om ze te vergelijken met kopieën van de identiteitsbewijzen van klanten.

Creditcardmaatschappijen zijn verplicht om de identiteit van klanten te verifiëren voordat ze in aanmerking mogen komen voor een creditcard. ICS mag dus dergelijke gegevens verzamelen, maar is wel verplicht om zorgvuldig met die gegevens om te gaan. De creditcardmaatschappij had daarom onder meer een DPIA moeten uitvoeren.

ICS kan nog in beroep gaan tegen de boete, maar zegt tegen NOS dat niet te doen. Het bedrijf erkent steken te hebben laten vallen, maar zegt dat de risicoanalyse in 2021 alsnog is uitgevoerd. Daarbij kwamen volgens ICS geen privacyrisico's naar boven.

Reacties (89)

[Anoniem: 1576590]

Online auth: groot impersonatie-risico
Online authenticatie voor risicovolle zaken (zoals bij creditcards en andere leningen) schreeuwt om impersonatie en identiteitsfraude. En hoe krachtiger AI wordt, hoe eenvoudiger impersonatie zal zijn en hoe meer onschuldige slachtoffers er zullen vallen.

Het uitganspunt van organisaties zoals ICS lijkt te zijn dat authenticatie online moet plaatsvinden, waarna men gaat kijken hoe dat zo voordelig mogelijk kan terwijl de risico's voor de organisatie zélf zo klein mogelijk zijn.

Verbetering: offline auth indien belangrijk
M.i. hebben we in Nederland, vergelijkbaar met GeldMaat geldautomaten, authenticatiekantoren (of balies in bestaande bedrijven) nodig - offline TTP's zeg maar. Uitsluitend goed opgeleid en streng gescreend personeel zou daar identiteitsbewijzen op vervalsingen moeten checken en de pasfoto (en andere karakteristieken) op zo'n "legitimatiebewijs" met de melder moeten vergelijken, waarna de gewenste transactie kan worden uitgevoerd (en bekend is en gelogd wordt wie de verifieerder is).

Dit is niet alleen in het belang van individuen op wiens naam bijv. leningen worden afgesloten, maar helpt m.i. ook beter om witwaspraktijken te voorkómen.

Nb. 100% veilig is ook offline authenticatie niet, maar criminelen houden er niet van om fysiek aanwezig te zijn tijdens een zorgvuldig authenticatieproces - vooral niet als zij, tijdens dat proces, gefilmd worden en de beelden lang genoeg worden bewaard. Dergelijke beelden kunnen, mits niet manipuleerbaar, slachtoffers van eventuele identiteitsfraude ook helpen bewijzen dat "it wasn't me" - iets dat met online-auth extreem moeilijk kan zijn.

Voorbeeld
Indien ICS een DPIA had uitgevoerd, had zij zich moeten realiseren dat uitsluitend online authenticatie tot vergrote risico's voor haar klanten leidt.

Bijvoorbeeld: indien je, voor het vóórtijdig aanvragen van een nieuwe creditcard óók naar zo'n balie zou moeten, had dat een slachtoffer zoals deze kunnen helpen voorkómen.

Dat incident leidde vervolgens ook nog eens tot een absurde uitspraak van het Kifid - in het voordeel van ICS. Dit kan namelijk iedereen overkomen op wiens PC, tablet of smartphone malware actief is of was.

Uit die uitspraak (PDF):

De vraag is of de consument in juridische zin -grof nalatig heeft gehandeld met betrekking tot het naleven van deze veiligheidsvoorschriften. Hoewel het aan ICS is om te stellen en - na gemotiveerde betwisting door de consument - te bewijzen dat sprake is van grove nalatigheid aan de zijde van de consument, rust op de consument een verzwaarde motiveringsplicht. Dat betekent dat de consument tenminste enig inzicht dient te geven in de wijze waarop een onbevoegde derde de mogelijkheid heeft gehad om in te loggen op Mijn ICS en een nieuwe creditcard aan te vragen.

Het Kifid concludeert vervolgens, zonder daar ook maar enig bewijs voor te leveren, dat de klant grof nalatig heeft gehandeld. Daarmee wijkt het Kifid af van de wet, waarin duidelijk staat dat de bewijslast bij de bank ligt - en niet dat de klant zou moeten motiveren wat er gebeurd zou kunnen zijn (IANAL: nemo-tenetur? Ook bij ICS kunnen echter foute mensen rondlopen, en er kan iets gebeurd zijn dat ook ik nu niet kan bedenken).

Deze Kifid-uitspraak kan off-topic lijken, maar dit valt m.i. tevens onder de risico's die je loopt als klant van ICS, en had m.i. dus in de DPIA moeten worden meegenomen.

Discussie
"Privacy" is een begrip dat vaak heel verschillend wordt uitgelegd. Persoonlijk vind ik dat het risico op identiteitsfraude en/of impersonatie hier ook onder valt.

Uit eigen ervaring (met o.a. ISO 2700x, NEN 7510, BIO e.d.) weet ik dat bedrijven, andere NGO's en overheden, hoofdzakelijk of uitsluitend focussen op hun eigen risico's, en niet die van klanten of burgers (maar ook niet van andere stakeholders, zoals supply chains - een ander topic).

Veel te vaak blijft reputatieschade beperkt na een datalek, o.a. door de (potentiële) schade voor klanten te bagatelliseren {1}, in kleine stapjes te bekennen dat er "onverwacht" meer slachtoffers zijn, of door te stellen dat een hack iedereen kan overkomen (mijn samenvatting van deze ransomware-aanval op een Britse gemeente).

{1}: Zelfs met slechts contactgegevens worden in toenemende mate mensen afgeperst.

Daarom vind ik dat tijdens een DPIA alle risico's van klanten -ten gevolge van de relatie met de uitvoerder van de DPIA- zouden moeten worden gewogen. Het zou m.i. goed zijn als je voor een zorgvuldig uitgevoerde DPIA een landelijk (of EU-) erkend certificaat zou kunnen verkrijgen. Daarmee zouden consumenten beter het kaf van het koren kunnen scheiden.

Conclusie
Tuurlijk, authenticatie vanaf jouw zitbank is lekker chill. Maar jouw voordeel betekent ook ellende en hoge kosten voor mensen die het vaak al niet breed hebben. Gemak dient niet alle mensen, maar wel veel criminelen.

Een tussenoplossing zou kunnen zijn dat je kunt opt-outen van offline-auth door je eenmalig te melden aan een balie daarvoor; de mensen die dat risico willen nemen, kunnen daarna weer bankzitten.

Hoe dan ook moeten DPIA's worden uitgevoerd. M.i. moeten daarbij alle risico's voor klanten of burgers t.g.v. de relatie worden meegenomen, en zou het goed zijn als organisaties middels een audit en certificaat (kunnen) aantonen dat zo'n DPIA is uitgevoerd en wordt nageleefd.

Meer over mijn stelling dat het, bij authenticatie, er in de éérste plaats om gaat hoe lastig impersonatie is, lees je hier (lang stuk).

[Skating_vince]

Ik ben het zeker met je eens, maar ik heb mijn poot stijf gehouden bij ICS en toen is er uiteindelijk iemand aan de deur geweest voor identificatie. Het kon dus wel bij ICS, maar je moest er veel moeite voor doen.

Verder echt een top reactie.

[Anoniem: 1576590]

Door Skating_vince:

Ik ben het zeker met je eens, maar ik heb mijn poot stijf gehouden bij ICS en toen is er uiteindelijk iemand aan de deur geweest voor identificatie. Het kon dus wel bij ICS, maar je moest er veel moeite voor doen.

Ook ik heb bezwaar gemaakt (na zeer veel jaren klant te zijn geweest, ooit via de ANWB begonnen) maar ze leken onvermurwbaar. Ik heb toen opgezegd.

Door Skating_vince:

Verder echt een top reactie.

Graag gedaan!

[locke960]

artikel post: 13:59
comment post: 14:00
Dat is een knappe lap tekst voor 1 minuut...

[Anoniem: 1576590]

Ik typ snel (Notabene met 1 vinger op mijn Android smartphone).

Ok, na dit artikel van 11:01 te hebben gelezen, begon ik met een reactie voor die site, maar daar is de sfeer vaak extreem giftig. Dus omstreeks 12:00 de redactie van Tweakers getipt, maar op die pagina zag ik dat iemand anders de link naar het AP-artikel al had gemeld. Toen maar doorgeschreven in Tweakers format, en nadat het artikel verscheen meteen gereageerd.

Ik maak mij al heel lang erg grote zorgen over risico's die bedrijven en overheden verplaatsen naar consumenten en burgers en daarmee wegkomen omdat veel mensen de vergaande digitalisering wel handig vinden (helaas pindakaas voor minder digitaalvaardigen).

Naast dat ik daardoor veel uit mijn hoofd kan beschrijven, heb ik bestanden met relevante links die ik snel kan vinden.

Mochten lezers in een andere richting denken: ik heb bijv. ChatGPT nog nooit gebruikt en post niet voor niets onder mijn eigen naam. Fake news en andere totale onzin is er al veel te veel.

Wel ben ik benieuwd of mede-Tweakers mijn mening delen dat tijdens een DPIA alle risico's van klanten of burgers geïnventariseerd en gewogen zouden moeten worden (zo niet, waar dan wel?). En ook of certificering dit gat zou kunnen opvullen.

ICS kan wel claimen dat die DPIA later alsnog heeft plaatsgevonden, maar als er geen checklist o.i.d. bestaat met waaraan gedacht moet worden, laat staan dat we weten wat ICS precies gedaan heeft, wat voor waarde heeft dat dan? Mede gezien de uitspraak van Kifid (een slager die haar eigen vlees keurt).

[magic45]

Wel ben ik benieuwd of mede-Tweakers mijn mening delen dat tijdens een DPIA alle risico's van klanten of burgers geïnventariseerd en gewogen zouden moeten worden (zo niet, waar dan wel?). En ook of certificering dit gat zou kunnen opvullen.

Ik ben erg benieuwd waar volgens jou dan de scope van die DPIA stopt als dat niet bij de eigen dienst(verlening) en organisatie is? Bij welk scenario aan een klantkant zeggen we, dit valt er onder en bij welke scenario's leggen we de verantwoordelijkheid van het risico maar ook de verantwoordelijkheid voor identificatie van het risico bij de klant zelf? Is het realistisch (en ook praktisch) om te verwachten dat een leverancier alle use cases en variabelen erop van een klant vooraf kan doorzien? En met realistisch bedoel ik dan dus ook, komt er dan nog ooit iets af ergens of zijn we alleen maar aan het analyseren?

[Anoniem: 1576590]

Door magic45:

Ik ben erg benieuwd waar volgens jou dan de scope van die DPIA stopt als dat niet bij de eigen dienst(verlening) en organisatie is?

Sorry, deze keer schreef ik niet "t.g.v. de relatie tussen de organisatie en de klant/burger", want daartoe beperkt dit zich natuurlijk sowieso.

Door magic45:

Bij welk scenario aan een klantkant zeggen we, dit valt er onder en bij welke scenario's leggen we de verantwoordelijkheid van het risico maar ook de verantwoordelijkheid voor identificatie van het risico bij de klant zelf?

Dat is niet zo moeilijk als je lijkt te suggereren.

Een deels opgaande vergelijking: supermarkten hebben massaal voor zelfscankassa's gekozen om op personeelskosten te besparen (het argument dat er te weinig mensen voor zijn vind ik kul: als je maar genoeg betaalt komen ze vanzelf). Ongetwijfeld hebben zij een risicoanalyse uitgevoerd: met hoeveel procent gaat winkeldiefstal toenemen?

De vergelijking gaat niet goed op omdat het risico in de eerste plaats bij de supermarkt zelf ligt (prijzen verhogen leidt er vooral toe dat klanten naar de concurrent gaan).

Als je persoonsgegevens, of andere vertrouwelijke en/of noodzakelijkerwijs snel beschikbare en juiste gegevens van/over hen verzamelt, horen daar verantwoordelijkheden bij.

Sinds "de archiefkast" zijn die gegevens veel sneller en vaak in veel grotere getale en voor meer mensen toegankelijk. Je zou kunnen zeggen dat we de kat op het spek hebben gebonden.

Er wordt geheel of vooral vanuit efficiëntieoverwegingen geautomatiseerd. Gemakshalve "vergeten" we daarbij risico's zoals menselijke fouten en kwetsbaarheden.

De AP maakt hier duidelijk wat een datalek kan zijn (niet alleen "lekken").

Daarnaast zijn er andere situaties bekend, zoals medewerkers van eBay die een kritische klant stalkten.

Ik denk dat het minder werk is om alle risico's voor jouw klanten of jouw burgers (als gevolg van jouw relatie met hen) te inventariseren dan om dat te doen voor alle beveiligingsrisico's die je als organisatie loopt.

Te vaak heb ik hier op Tweakers bijvoorbeeld gelezen dat goede backups dé oplossing zou zijn tegen ransomware; mensen wiens gegevens vervolgens worden verhandeld op het dark web schieten daar niets mee op.

Ook hoor je je als organisatie te realiseren dat niet elke klant of burger haar hele hebben en houwen op Facebook plempt; er zijn journalisten, agenten, advocaten, politici, gestalkte personen en ga zo maar door voor wie het een groot risico kan zijn als kwaadwillenden hun adresgegevens in handen krijgen.

Door magic45:

Is het realistisch (en ook praktisch) om te verwachten dat een leverancier alle use cases en variabelen erop van een klant vooraf kan doorzien?

Is het realistisch (en ook praktisch) om alle risico's, ook die allang bekend zijn en keer op keer worden uitgebuit, bij klanten of burgers te leggen?

Een goede DPIA uitvoeren hoeft niet "eenvoudig" te zijn. Belangrijk is wel dat elke organisatie dat fatsoenlijk doet, om een eerlijk speelveld met concurrenten te bewaren.

Helaas is er nauwelijks sprake van transparantie en kennelijk moeten incidentele speldenprikjes door de AP de problemen oplossen (m.i. gaat dat niet gebeuren in de huidige praktijk).

Door magic45:

En met realistisch bedoel ik dan dus ook, komt er dan nog ooit iets af ergens of zijn we alleen maar aan het analyseren?

Dat is vanzelfsprekend ongewenst. Maar ik bestrijd dat het onrealistisch zou zijn om risico's van klanten/burgers t.g.v. verzamelingen van (persoons- of andere vertrouwelijke, (snel) beschikbare of juiste) gegevens te inventariseren.

Wellicht wel voor elke sigarenboer, maar grotere organisaties kunnen zich hierop toeleggen (ik twijfel er niet aan dat dit nu al gebeurt).

Ja, zo'n club inhuren, of expertise zelf in huis hebben, kost geld. Uiteindelijk is het de vraag of je een besparing daarop kunt verhalen op een deel van jouw klanten/burgers door hen grotere risico's te laten lopen, en door te vertikken om mee te werken aan vangnetten voor slachtoffers.

P.S. van de 800.000 Euro die 'Pieter Babbeltruc' op extreem hufterige wijze van vooral oude slachtoffers had buitgemaakt, hoeft hij de banken slechts 280.000 Euro terug te betalen. Van de rest, 520.000 Euro, vonden de banken kennelijk dat de slachtoffers "grof nalatig" hadden gehandeld. Een bezuinigingsmaatregel zoals bankfilialen sluiten en alles online leidt, net als zelfscankassa's, tot meer fraude. Een beperkt aantal onschuldige kwetsbare mensen draait daar nu voor op.

[Tintel]

Ja die zelfscankassa' zijn ook zo'n typisch verhaal. Het lijkt lekker makkelijk voor de klant (want nog meer kassa's dus vermoedelijke kortere rijen). Maar het is vooral een besparing voor de supermarkt op een dure kostenpost, nl. loon. En vervolgens komt er een flink risico bij; voor zowel de klant als de supermarkt. De klant kan vrij gemakkelijk iets vergeten - al dan niet bewust. Maar als het onbewust is dan ben je dus geen dief (waarna je toch een hoop gezeur kan krijgen).... en als het bewust is...tja....dat was nooit de bedoeling natuurlijk.
En als klant die ter goeder trouw is zeg ik dan: nee, ik wil eigenlijk geen extra risico voor een eventueel iets kortere wachttijd. Waarom vertalen besparingen - dus meer winst voor de supermarkt - zich in negatieve zin voor de klant?
Dat is hetzelfde met de persoonsgegevens die bedrijven opslaan [en gebruiken] - alles lekker makkelijk maar wel vooral voor de aanbieder/bedrijven en slechts beperkt voor de klant. Meteen begint dfe profilering en daarmee ook de mogelijke manupilatie. En het risico? Dat ligt weer bij de klant.

[kozue]

Ik heb nog nooit van een zelfscan kassa gebruik gemaakt. Niet zozeer vanwege de mogelijkheid om per ongeluk als dief bestempeld te worden. Als je immers een kar vol boodschappen hebt is het niet handig om bij zo’n zelfscan ding te staan. Waar moet je alles laten? Dus ik ziet het vooral als “even snel een lunch halen” ofzo.

Nee, de reden dat ik ze nog nooit heb gebruikt is omdat je er alleen maar kunt pinnen. Als fervent tracking hater vermeid ik digital footprint zoveel mogelijk, en daarmee dus ook dat pin-gedoe, waarmee banken, winkels en alle partijen er tussenin (maestro, currence, google/apple als je een telefoon gebruikt, etc) jou kunnen profileren en monitoren. Het is heel jammer hoe een op zich handig idee (de rij bij de kassa skippen als je maar een paar dingetjes hebt), tegenwoordig meteen gekoppeld wordt aan het doordrukken van digitale systemen. En het kan wel hoor. Ik was vorig jaar in Duistland en daar hadden ze zelfscan met contant geld.

Je ziet dat tegenwoordig overal, vooral in ons big brother land. Neem nou electrische auto’s. In de basis een goed concept. Stroom is de universele energiebron die je op vele manieren op kunt wekken en gebruiken. Maar het moest natuurlijk weer worden gebruikt voor het doordrukken van bepaalde vormen van digitaal. Zoals het afrekenen bij een laadpaal, waar iemand in een vlaag van verstandsverbijstering had besloten dat de auto dat maar met de laadpaal af moet handelen, volautomatisch. Of erger nog, een verplichte app moeten installeren, en daarmee een afhankelijkheid op Amerikaanse trackers (smartphones) creëren. Waarom kan ik niet gewoon opladen bij een tankstation en dat contant afrekenen bij een kassa, waarom wordt er meteen weer data uitgewisseld? Als ik met m’n huidige dieseltje bij een pomp sta en contant afreken weet niemand dat ik daar was (tenzij ze de cctv tape terugkijken, maar dat is een bewust handmatige actie). Dus voorlopig maar geen EV tot ze daar wat aan doen.

Of die OV chipkaart, of die “slimme” (kuch) energiemeter… ah laat maar, veel te veel voorbeelden tegenwoordig…

[Tintel]

Ik begrijp jouw stelling en ben het met je eens - no-tracking/profilering is toch wel een fijn idee.

in Duistland en daar hadden ze zelfscan met contant geld.

Ik zag ook dat Hornbach automatische papiergeld scanners had.... dus op zich goede ontwikkeling.

m.b.t. de laadpaal en directe communicatie:
Ook de trend voor 'meer veiligheid' [bij auto's] lijkt zich doorzetten naar 'always connected'. Typisch iets wat ongewenst is.

Het lijkt nu telkens dat we dit verlangen als klant maar het tegendeel is waar. Ze proberen het weg te zetten als een voordeel voor de klant maar in werkelijkheid was de handeling van contant betalen helemaal niet zo belastend (en 'pinnen' zou ook niet traceerbaar mogen zijn).
Alles wat 'lekker makkelijk' lijkt wordt heel snel geaccepteerd - en dat wordt misbruikt om 'extra stapjes' te maken.

[friemelss]

helemaal eens met Erik.

Ik schrijf regelmatig DPIA's. Mijn beleving:
- bij mijn ervaringen met overheden gaat dit erg diep en gericht op ook risico's van niet direct betrokkenen (zoals relying parties)
- bij bedrijven gaat dit vaak hoog-over en gericht op hoe de dienst zo snel mogelijk kan worden ingezet.

[Anoniem: 1576590]

Door friemelss:

[...] Ik schrijf regelmatig DPIA's. Mijn beleving:
- bij mijn ervaringen met overheden gaat dit erg diep en gericht op ook risico's van niet direct betrokkenen (zoals relying parties)
- bij bedrijven gaat dit vaak hoog-over en gericht op hoe de dienst zo snel mogelijk kan worden ingezet.

Dank voor dit inzicht!

Tijdens mijn ISO 27k1 cursus jáááren geleden herhaalde de docent steeds:
Hoe erg is het?

Dat was best een eye-opener voor mij, en dat heeft mij zeker leren relativeren. Maar die docent bedoelde feitelijk:
Hoe erg is het voor de certificerende organisatie?

Ik ben er al een tijdje uit, maar uit het groeiende aantal datalekken kan ik niet opmaken dat er veel veranderd is (aan de andere kant komen organisaties die het wél goed of beter doen, niet in het nieuws).

[R4gnax]

Dat was best een eye-opener voor mij, en dat heeft mij zeker leren relativeren. Maar die docent bedoelde feitelijk:
Hoe erg is het voor de certificerende organisatie?

Dat is van alle tijden en alle markten, helaas.

Moet opeens weer aan de sex-offender aflevering van South Park denken:

And who can tell me what everyone did wrong?
Hmm.. What did you do wrong?
[..]
That's right!
You - were - caught.

[Reactie gewijzigd door R4gnax op 23 juli 2024 11:23]

[Tintel]

omdat veel mensen de vergaande digitalisering wel handig vinden (helaas pindakaas voor minder digitaalvaardigen).

Dat is waarom het zo hard is gegaan "lekker makkelijk" - notabene vanuit een verleden waar een handtekening voldoende was voor identificatie. Stel weinig voor qua authenticatie en toen men maakte zich soms wel zorgen om fraude... maar nu is het nog simpeler geworden eigenlijk. Alleen data is voldoende; het duplicaat maken - gezien het gemak waarmee bijv. ICS de data accepteert - is helemaal simpel.

Risico's? Niet voor de bedrijven - wel voor personen....

En creditcards zijn natuurlijk notoir als het gaat om "gemak om geld uit te geven" maar gedoe om het weer in orde te krijgen mocht er echt wat fout gaan (een enkel dispuut van een bedrag komt wel in orde maar een hele reeks omdat een identiteit is gestolen....). Totaal fout uitgangspunt natuurlijk maar ja - wel lekker makkelijk.

[Anoniem: 1576590]

Door Tintel:

[...] - notabene vanuit een verleden waar een handtekening voldoende was voor identificatie.

Tegenwoordig zetten we een krabbel op een touch screen van een bezorger. Een "handtekening" die eindeloos foutloos gekopieerd kan worden.

Hoe authentiek zijn pixels op een (deel van een) scherm, en welke partijen moet je allemaal vertrouwen om daar iets over te kunnen zeggen?

[CPM]

Op dergelijke apparaten zet ik niet eens een handtekening maar een krabbel. Ze doen er niets (goeds) mee. Laat staan dat de bezorger mijn identificatie controleert.
U brengt een artikel retour naar de winkel: mag ik uw handtekening, natuurlijk. Krabbel maar raak.

[Anoniem: 1576590]

Door CPM:

Op dergelijke apparaten zet ik niet eens een handtekening maar een krabbel. Ze doen er niets (goeds) mee. Laat staan dat de bezorger mijn identificatie controleert.

M.b.t. dat laatste: een visuele check is tot daar aan toe, maar ik zou m'n ID niet laten scannen.

Uit dit artikel (die link gaf ik eerder onderaan deze reactie):

Deze week: toen tien jaar geleden plots een deurwaarder bij haar aanbelde, bleek dat iemand de identiteit van Chantal Langenbach (41) had gestolen en op haar naam veel schulden had gemaakt, die zíj moest aflossen. "Ik werd behandeld als een crimineel."
[...]
Bij mij is het waarschijnlijk misgegaan toen ik een nieuwe telefoon kocht.

Toen deze werd bezorgd, werd aan de deur mijn identiteitsbewijs gescand. Die scan is in de verkeerde handen gevallen.

Door CPM:

U brengt een artikel retour naar de winkel: mag ik uw handtekening, natuurlijk. Krabbel maar raak.

Dit "systeem" is dus door en door verrot. Geen haan die ernaar kraait zolang het goed gaat, maar dat gaat het niet altijd.

[Tintel]

Nee - idd. We gebruiken het nog steeds en nog onbetrouwbaarder....

[Cavemen]

Ik zie je daar vaak uitgebreid reageren op artikelen, vaak erg leerzaam, dank daarvoor!

[Anoniem: 1576590]

Graag gedaan! Met kennis die ik grotendeels van anderen vernomen heb, en slechts combineer, dus die credits komen niet alleen mij toe

[Remzi1993]

Ik maak mij al heel lang erg grote zorgen over risico's die bedrijven en overheden verplaatsen naar consumenten en burgers en daarmee wegkomen omdat veel mensen de vergaande digitalisering wel handig vinden (helaas pindakaas voor minder digitaalvaardigen).

Dit komt door handhaving die er vaak ontbreekt omdat het handhaven pas gebeurt als men bij de rechtbank of dergelijke geschillencommissies toe stapt. Naar een geschillencommissie toestappen is vaak goedkoop en rond de 50 euro, maar even naar de kantonrechter is rond de 260 euro aan eigen bijdragen (verplicht eigen bijdrage rechtsbijstand, griffierecht en deurwaarder voor overhandigen dagvaarding) en dergelijke als je rechtsbijstand krijgt. Ik weet dit omdat ik als student vorige jaar naar de kantonrechter ben gegaan.

Dus niet iedereen heeft even 260 euro om naar de rechter toe te stappen en dit is het laagste bedrag, als je gemiddelde inkomen hebt dan is dit bedrag dus hoger.

[DeerDitch]

Wel ben ik benieuwd of mede-Tweakers mijn mening delen dat tijdens een DPIA alle risico's van klanten of burgers geïnventariseerd en gewogen zouden moeten worden (zo niet, waar dan wel?). En ook of certificering dit gat zou kunnen opvullen.

De wet is toch duidelijk hierin? Maar kan zijn dat het artikel niet volledig is.

... Met een dergelijke analyse moeten bedrijven in kaart brengen welke privacyrisico's gepaard gaan met het verzamelen van bepaalde persoonlijke gegevens...

Dus nee, ik ben het niet eens dat alle mogelijke risico's gewogen moeten worden door een bepaalde partij. Ze moeten zich aan de wet houden en als er op 1-of-andere manier teveel identiteitsfraude wordt gepleegd, dan zal de politiek een nieuwe wet moeten maken (of een bestaande wet aanpassen) die probeert om dat te voorkomen.

Ik vind ook dat mensen hun eigen verantwoordelijkheid hebben om de risico's voor zichzelf in te schatten. Dan heb ik het niet over DPIA risicoanalyses, maar bv: 2FA uitschakelen, simpele wachtwoorden gebruiken, geen gegevens aan iemand doorgeven.
Ik vind het wel een taak van de overheid om mensen die hierin niet thuis zijn (of geen mensen om zich heen hebben die dit uit kunnen leggen) goed te informeren over de risico's, maatregelen, do's/don'ts, etc.

Uiteindelijk zal ons stemgedrag bepalen welke richting het uit gaat. Meer verantwoording bij de burger leggen of meer bij de bedrijven.Ik denk dat het er de komende 4 jaar goed uitziet voor de burger (dus meer regelgeving voor bedrijven).

[Reactie gewijzigd door DeerDitch op 23 juli 2024 11:23]

[Anoniem: 1576590]

M.b.t. "tijdens een DPIA alle risico's van klanten of burgers geïnventariseerd en gewogen zouden moeten worden" schreef DeerDitch:

De wet is toch duidelijk hierin?

Ik zie regelmatig zaken over het hoofd en ben zeker geen jurist, maar in welke wet zou staan welke risico's en van wie er tijdens een DPIA exact gewogen moeten worden?

Voor InformatieBeveiliging is de annex van ISO 27001 (verduidelijkt in 27002) niet meer dan een lijst van uiterst abstracte aandachtspunten waarvan je zelf mag aangeven of die -voor jouw zelf gekozen- scope van toepassing zijn, laat staan dat voorgeschreven wordt hoe je die in bijv. een "Microsoft omgeving" omzet in concrete maatregelen en procedures.

Het is enorm lastig (en veel werk, dus duur) om hier geen wassen neus van te maken. Als je slim shopt vind je vast wel een certificeerder uit een voormalig oostblokland die jou daarvoor een certificaat verstrekt.

Voor DPIA's zou dit beter geregeld kunnen zijn, ik zal daar zelf ook nog eens induiken.

Door DeerDitch:

Dus nee, ik ben het niet eens dat alle mogelijke risico's gewogen moeten worden door een bepaalde partij. Ze moeten zich aan de wet houden en als er op 1-of-andere manier teveel identiteitsfraude wordt gepleegd, dan zal de politiek een nieuwe wet moeten maken (of een bestaande wet aanpassen) die probeert om dat te voorkomen.

Wetgeving is meestal opzettelijk extreem vaag met termen als "redelijkerwijs".

Mogelijk dat ik "het privacyprobleem" onderschat, maar ik denk dat het veel lastiger is om een breed toepasbare specifieke checklist te maken voor cybersecuritymaatregelen dan voor privacy-eisen. Vandaar dat ik pleit voor audits en certificering.

DeerDitch:

Ik vind ook dat mensen hun eigen verantwoordelijkheid hebben om de risico's voor zichzelf in te schatten.

Lees s.v.p. eerst mijn reactie op die van @Remzi1993 eerder vanochtend en lees daarna hier verder.

Door DeerDitch:

Dan heb ik het niet over DPIA risicoanalyses, maar bv: 2FA uitschakelen, simpele wachtwoorden gebruiken, geen gegevens aan iemand doorgeven.

In toenemende mate zijn er "evil proxy" phishingsites of HTML e-mailbijlagen waarbij zwakke 2FA (SMS, Voice, TOTP) niets helpt. Dat is niet nieuw, al in 2019 schreef de securitybaas van Microsoft MFA had failed.

Ik zeg niet dat MFA zinloos is, maar de effectiviteit ervan wordt enorm overschat en neemt met de dag af. Bovendien hebben veel meer mensen last van account-lockout doordat ze een factor kwijtraken.

Daarbij, je hebt niets aan 2FA/MFA als je niet hoeft in te loggen. Kijk eens in deze Virustotal pagina: op één IPv4 adres worden dagelijks nieuwe wegwerpdomeinnamen voor phishingsites geregistreerd die, vziw zonder uitzondering, allemaal een Let's Encrypt certificaat verkrijgen (voobeeld van vandaag.

De meeste hiervan zijn "pakket kon niet worden afgeleverd" scams die stellen dat je een klein bedrag met je creditcard moet betalen (waarna geprobeerd wordt de rekening te plunderen). Niemand die dit probeert te voorkomen en niemand die er reactief iets tegen doet (erg lastig in Rusland).

Het zijn "wegwerpdomeinnamen" omdat ze, na enige tijd, op blocklists komen. Zoek op internet naar USPS scam of DHL scam voor meer info, en/of lees dit over o.a. PostNL.

Door DeerDitch:

Ik vind het wel een taak van de overheid om mensen die hierin niet thuis zijn (of geen mensen om zich heen hebben die dit uit kunnen leggen) goed te informeren over de risico's, maatregelen, do's/don'ts, etc.

Dat is enorm lastig en een groot deel van de mensen bereik je nooit.

In plaats daarvan kun je alternatieven bieden (zoals de fysieke balie die ik voorstelde) of voor vangnetten zorgen (wat banken niet willen en het, door hen betaalde Kifid, ondersteunt).

Door DeerDitch:

Uiteindelijk zal ons stemgedrag bepalen welke richting het uit gaat.

Nee. Als alle herenschoenwinkels uitsluitend maat 43 t/m 45 verkopen snapt de meerderheid van de mannen het probleem niet.

Fatsoenlijke democratie is ook de belangen van minderheden beschermen, en over dat aspect denkt bijna niemand na in het stemhokje.

Door DeerDitch:

Meer verantwoording bij de burger leggen of meer bij de bedrijven.Ik denk dat het er de komende 4 jaar goed uitziet voor de burger (dus meer regelgeving voor bedrijven).

Ik vrees dat het er allesbehalve goed uitziet. We krijgen binnenkort een EDIW (European Digital Identity Wallet) door de strot geduwd, moeten online legitimeren om porno te kijken en mogelijk "krijgen" we Client Side Scanning op onze smartphones.

[Tweakez]

lijkt bijna insider trading. eh posting

[Reactie gewijzigd door Tweakez op 23 juli 2024 11:23]

[The-Source]

Gegenereerd met de verontrustende AI

[Cergorach]

Het artikel of de reactie? Of beide?

[divvid]

Dat is hét probleem, onderscheid is nauwelijks nog te maken

[vDorst]

Ik zou ook graag zien dat je standaard offline kan indienen.

Want die online checks worden natuurlijk steeds vervelender/indringender, alles moet getrackt worden want anders ben je een bot/onbetrouwbaar. Net als de "zero trusted software" van je werk.
Daarnaast elke keer een kopie maken van je ID is natuurlijk ook een groot risico.
Voor dat je het weet staat die ID weer ergs op je PC/telefoon en als je backups aan hebt staan, staat het daar weer in.

Je kan met de nieuwe ID's wel gebruiken als smartcard maar dat betekent niet dat de persoon erachter het ook echt is. Dus een fysieke check zou goed zijn.

[Anoniem: 1576590]

door vDorst:

Ik zou ook graag zien dat je standaard offline kan indienen.
[...]
Je kan met de nieuwe ID's wel gebruiken als smartcard maar dat betekent niet dat de persoon erachter het ook echt is. Dus een fysieke check zou goed zijn.

Absoluut. Met online auth maken we langere ketens met deels zeer zwakke schakels. En vangnetten voor slachtoffers ontbreken (zie Kifid).

In december hebben het Duitse BSI en de Franse ANSSI een (Engelstalig) document met de risico's van en (hopelijk) mitigerende maatrgelen bij "Remote Identity Proofing" gebruikmakend van VideoIdent gepubliceerd dat
hier kan worden gedownload.

Ik vind het een blunder dat daarin geen rekening wordt gehouden met AitM (Attacker in the Middle) aanvallen, d.w.z. het scenario dat een burger naar een phishing-site wordt gelokt en écht zélf videoident uitvoert, maar vervolgens de AitM de digitale credentials op haar of zijn toestel zet.

Als burger of als consument is het onmogelijk om een goed gekopieerde nepsite van de echte te onderscheiden, tenzij die persoon weet dat je de domeinnaam moet checken en hoe je dat moet doen.

En vervolgens moet zien uit te vinden dat die domeinnaam niet van de bedoelde organisatie is, zoals destijds www.international-card-services[.]nl (zie mijn write-up, 2016) en icscardonline[.]nl (write-up door Anoniem, 2017). En dat waren allesbehalve de laatste ISC phishing scams.

Datzelfde kan dus ook eerder in de keten, bij VideoIdent voor bijvoorbeeld jouw EDIW (European Digital Identity Wallet) of andere eID.

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 11:23]

[Remzi1993]

Helemaal mee eens, echter alleen niet van dit kleine stukje:

Tuurlijk, authenticatie vanaf jouw zitbank is lekker chill. Maar jouw voordeel betekent ook ellende en hoge kosten voor mensen die het vaak al niet breed hebben.

In NL kan niet iedereen zomaar een creditcard aanvragen, mensen die een uitkering hebben, laag inkomen of studenten komen niet in aanmerking voor een creditcard. Ik weet dit omdat ik 10 jaar geleden eentje wilden aanvragen. Wat eigenlijk goed is dat dit in NL niet kan. Dus, het zijn vooral midden inkomens of hoger. Die worden de dupe van de oplichting. Ik betwijfel niet dat het voor iemand van een midden inkomen heel vervelend kan zijn en misschien zelfs tot persoonlijk faillissement kan leiden, maar om dit als argument te gebruiken waarom het extra catastrofaal is is natuurlijk een zwak argument.

Voor de rest moet het inderdaad hoger de verificatie en dergelijke. Er moet ook post naar het oude adres gestuurd worden en daar moet dan 1 week tijd overheen gaan lijkt mij.

[Reactie gewijzigd door Remzi1993 op 23 juli 2024 11:23]

[Anoniem: 1576590]

Door Remzi1993:

Helemaal mee eens, [...]

Goed om te lezen.

Door Remzi1993:

[...] Ik betwijfel niet dat het voor iemand van een midden inkomen heel vervelend kan zijn en misschien zelfs tot persoonlijk faillissement kan leiden, maar om dit als argument te gebruiken waarom het extra catastrofaal is is natuurlijk een zwak argument.

Zo te zien besef je niet wat het met veel mensen doet die opgelicht of gewoon bestolen worden. Soms zijn zij al hun spaargeld kwijt, maar in bijna alle gevallen heeft een (digitale) diefstal een enorme impact; zo kan het vertrouwen in de medemens, organisaties en zichzelf enorm afnemen.

Daarbij komt het voor dat het geldverlies slechts een beperkte rol speelt in de ellende waarin deze slachtoffers zich gestort voelen.

Dat vervolgens veel mensen in hun omgeving zeggen dat je zelf wel iets stoms gedaan zult hebben, en/of dat ook het Kifid dat zegt, ervaren slachtoffers als een enorme trap nakrijgen. Een deel van die mensen raakt hierdoor in een isolement en vereenzaamt.

We hebben nou eenmaal miljoenen landgenoten met weinig of geen digitale vaardigheden, die, wellicht omdat zij vaak afhankelijk zijn van de hulp van anderen, (te) goed van vertrouwen zijn (niet voor niets trappen zoveel mensen in bankhelpdeskfraude). Steeds meer mensen hebben een beginnende vorm van dementie en zijn dan extra kwetsbaar (omdat ze het zelf ontkennen en de omgeving vaak niet doorheeft hoe erg het al is en welke grote risico's deze mensen lopen).

Al deze mensen willen ook op vakantie, en buiten de EU is een creditcard al snel onmisbaar.

Wellicht doe je er goed aan om eens wat verhalen van slachtoffers op slachtofferhulp.nl te lezen, bijv. in deze pagina.

Door Remzi1993:

Voor de rest moet het inderdaad hoger de verificatie en dergelijke. Er moet ook post naar het oude adres gestuurd worden en daar moet dan 1 week tijd overheen gaan lijkt mij.

Als iemand echt verhuisd is, is dat laatste een slecht idee.

Authenticatie op afstand is m.i. simpelweg onvoldoende veilig voor "kritische transacties" (d.w.z. fraudegevoelig waar veel geld mee gemoeid kan zijn of waar andere grote belangen op het spel staan).

Niet voor niets hebben we een systeem met notarissen waar je in levende lijve zelf moet legitimeren bij belangrijke transacties.

Het punt dat ik vooral probeer te maken is dat het wishful thinking is dat je "kritische transacties", voor iedereen veilig, op afstand/online zou kunnen uitvoeren.

Het kennelijke uitgangspunt dat "deze uitdaging" met techniek oplosbaar is, is simpelweg onjuist. De maatschappij bestaat namelijk niet uitsluitend uit ICT-specialisten die nooit in phishing of ander bedrog trappen.

Waarbij de pakkans voor cybercriminelen ook nog eens enorm wordt verlaagd doordat zij grotendeels anoniem kunnen opereren of door foute regimes worden gedoogd.

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 11:23]

[Remzi1993]

Ik snap je punt en ik ben het er volledig mee eens. Maar het zijn de midden inkomens en hoger die geraakt worden en die moeten dus dan naar de rechter toestappen. Dat wilde ik alleen aanmerken, want je had het over mensen die heel weinig hadden en die kunnen dus geen creditcard krijgen in NL.

[Anoniem: 1576590]

Door Remzi1993:

[...] je had het over mensen die heel weinig hadden en die kunnen dus geen creditcard krijgen in NL.

Ik begrijp niet waar je op doelt.

Bij het Kifid-verhaal ging het om een mevrouw die al een CC had. Haar ICS account is overgenomen (mogelijk via phishing, malware op toestel, frauderend familielid of "vriendelijke" buurman, corrupte ICS medewerker etc. - naar verluidt is er geen enkel bewijs - aanvulling: hoe het account kon worden overgenomen).

Daarna heeft de crimineel een nieuw adres opgegeven en een nieuwe CC aangevraagd. De "rechters" stellen tevens dat mevrouw ook haar PIN zou hebben gelekt zonder dat te bewijzen (overigens kan een nepsite "u moet uw pas vernieuwen" daar overtuigend om vragen; "voer uw pincode in, dan nemen wij deze over op uw nieuwe pas").

De praktijk is echter meestal dat criminelen online aankopen doen met hun gestolen CC (zodat ze niet door camera's "gezien" worden en BN'er worden via het TV programma "Opsporing verzocht"). Die PIN hebben ze dus niet persé nodig.

Aanvulling 12:12: sorry, ik zie nu waar je op doelt, bovenaan deze pagina, onder conclusie, schreef ik:

Maar jouw voordeel betekent ook ellende en hoge kosten voor mensen die het vaak al niet breed hebben.

Dat bedoelde ik in het algemeen m.b.t. online authenticatie, d.w.z. niet beperkt tot creditcards en/of ICS.

Ook om een bankrekening aan te vragen, of bij ING als je de pincode van jouw app vergeten bent, is het risicovolle (fraudegevoelige) filmen van je gezicht en je identiteitsbewijs vereist.

[Reactie gewijzigd door Anoniem: 1576590 op 23 juli 2024 11:23]

[Remzi1993]

Nogmaals ik ben het volledig met je eens, alleen dit stukje niet:

hoge kosten voor mensen die het vaak al niet breed hebben.

Mensen die een laag inkomen hebben kunnen geen creditcard in NL krijgen.

[laurxp]

M.i. hebben we in Nederland, vergelijkbaar met GeldMaat geldautomaten, authenticatiekantoren (of balies in bestaande bedrijven) nodig - offline TTP's zeg maar. Uitsluitend goed opgeleid en streng gescreend personeel zou daar identiteitsbewijzen op vervalsingen moeten checken en de pasfoto (en andere karakteristieken) op zo'n "legitimatiebewijs" met de melder moeten vergelijken, waarna de gewenste transactie kan worden uitgevoerd (en bekend is en gelogd wordt wie de verifieerder is).

Deze bestaan al! PostNL-punten bieden dit al jáááren als service aan. De overheid gebruikt het bijvoorbeeld om je identiteit vast te stellen bij het overschrijven van een kenteken.

Toen ik een paar jaar terug een rekening opende bij de ASN Bank, moest ik ook langs een PostNL-punt om te bewijzen dat ik mezelf ben. Tegenwoordig gebruikt ASN Bank blijkbaar AMP Groep, dus PostNL is zeker niet de enige aanbieder van zulke diensten.

Als een bedrijf als ICS geen gebruikt maakt van zulke (reeds bestaande) diensten is dat een bewuste keuze die ze maken. Ik vermoed dat ze zo lopen te rotzooien met onze privacy simpelweg omdat het goedkoper is dan het fatsoenlijk doen. Als het gevolg hiervan privacy-problemen en impersonatie is, kunnen we dat volgens mij prima "grof nalatig" noemen.

[Anoniem: 1576590]

Door laurxp:

[...] PostNL-punten bieden dit al jáááren als service aan. De overheid gebruikt het bijvoorbeeld om je identiteit vast te stellen bij het overschrijven van een kenteken.

Ik twijfel eraan of alle mensen die dat doen namens PostNL voldoende opgeleid (en gescreend) zijn, en de tijd krijgen voor een grondige controle, om te voorkómen dat iemand met een vervalst identiteitsbewijs een creditcard of andere lening op jouw naam kan aanvragen.

Door laurxp:

Toen ik een paar jaar terug een rekening opende bij de ASN Bank, moest ik ook langs een PostNL-punt om te bewijzen dat ik mezelf ben. Tegenwoordig gebruikt ASN Bank blijkbaar AMP Groep, dus PostNL is zeker niet de enige aanbieder van zulke diensten.

Dat zou erop kunnen wijzen dat de PostNL-route minder betrouwbaar was (pure gok, ik heb geen idee).

Feit is wel dat je identiteit-verifieerders moet kunnen vertrouwen; bij uitstek kunnen zij namelijk de AitM's (Attacker in the Middle) zijn die zich richting een andere partij kunnen voordoen als jou.

Door laurxp:

Als een bedrijf als ICS geen gebruikt maakt van zulke (reeds bestaande) diensten is dat een bewuste keuze die ze maken. Ik vermoed dat ze zo lopen te rotzooien met onze privacy simpelweg omdat het goedkoper is dan het fatsoenlijk doen. Als het gevolg hiervan privacy-problemen en impersonatie is, kunnen we dat volgens mij prima "grof nalatig" noemen.

Eens. Maar het hen helemaal kwalijk nemen kan ik ook weer niet.

In plaats van dat de Rijksoverheid voorschrijft hoe deze anti-witwas-check moet plaatsvinden, maakt en promoot zij een paspoort-afscherm-app waarmee zij suggereert dat je daarmee veilig online kunt authenticeren. Dat is een grove leugen; elke AitM of latere kopiejatter die zo'n scan in handen krijgt, kan zich daarmee, met dezelfde sterkte, voordoen als jou.

Een watermerk en/of datum kunnen helpen, maar met een beetje handigheid verwijder je die weer. Bovendien zijn er partijen die een scan "waarin gerommeld is" niet accepteren (een recent voorbeeld uit het forum, door @djwice).

Kortom, het lijkt wel of de hele maatschappij vindt dat online authenticeren in alle gevallen moet kunnen, en dat techneuten vervolgens maar moeten verzinnen hoe dat zo veilig mogelijk kan (er zijn dan altijd partijen die geld ruiken en er niet voor terugdeinzen om Haarlemmerolie duur te verkopen). Kan niet veilig lijkt onbespreekbaar.

Bijzonder sneu voor mensen die tussen de wal en het schip vallen, zoals deze en deze (er zijn véél méér voorbeelden, deels veel ingrijpender).

[Royeboi]

ICS heeft destijds ook AMP Groep gebruikt voor fysieke identificatie bij klanten thuis aan de voordeur:

https://www.rtlnieuws.nl/...ificeren-witwassen-fraude

[Reactie gewijzigd door Royeboi op 23 juli 2024 11:23]

[Aldy]

Off topic: Het zoveelste bewijs dat het Kifid niet aan de kant van de consument staat. Als je zelfs de wet aan je laars lapt....

[MikeN]

Er rammelt iets in dit geheel. Er staat in het besluit dat er in 2019 klachten zijn binnengekomen over het proces en hier dat er in 2021 een DPIA is gedaan en er toen niets aan de hand was. Dat kan beiden best kloppen, maar het suggereert dat er niets aan de hand was behalve een ontbrekende DPIA.

Eén van de mensen die in 2019 een klacht indiende bij de AP was ik. De reden van de klacht was dat ICS mij vroeg om een kopie van mijn ID via email en zonder enige vorm van beveiliging (!) naar ze toe te sturen. Toen ik daar navraag over deed, gaf ICS aan dat dat volkomen veilig was. Ik ben toen maar niet verderde discussie aangegaan en heb meteen maar een klacht ingediend gezien ze zo clueless waren.

Mijn klacht is in 2020 uiteindelijk door de AP gesloten omdat ICS dingen verbeterd zou hebben. Ze hebben inderdaad een webportal ingevoerd, waar ik op zich wel genoegen mee kon nemen. Maar mijn intentie daarbij was niet bepaald dat ICS nu hun complete gebrek aan beveiliging kan verhullen door te zeggen dat volgens hun latere DPIA niets aan de hand was. Ik hoop wat dat betreft dat er nog een ander besluit van de AP op de plank ligt over het complete gebrek aan beveiliging, maar dat zal wel ijdele hoop zijn.

[J_van_Ekris]

Eén van de mensen die in 2019 een klacht indiende bij de AP was ik. De reden van de klacht was dat ICS mij vroeg om een kopie van mijn ID via email en zonder enige vorm van beveiliging (!) naar ze toe te sturen. Toen ik daar navraag over deed, gaf ICS aan dat dat volkomen veilig was. Ik ben toen maar niet verderde discussie aangegaan en heb meteen maar een klacht ingediend gezien ze zo clueless waren.

Mijn klacht is in 2020 uiteindelijk door de AP gesloten omdat ICS dingen verbeterd zou hebben. Ze hebben inderdaad een webportal ingevoerd, waar ik op zich wel genoegen mee kon nemen. Maar mijn intentie daarbij was niet bepaald dat ICS nu hun complete gebrek aan beveiliging kan verhullen door te zeggen dat volgens hun latere DPIA niets aan de hand was.

De gedachte is dat een DPIA aanleiding moet geven voor de privacy beschermende maatregelen. Dus de root cause van dat e-mailen van gevoelige data is volgens de AP de DPIA die van onvoldoende kwaliteit was.

Blijkbaar is men er bij ICS van wakker geschrokken, heeft men in 2021 alsnog de DPIA uitgevoerd en vervolgens de techniek beter ingericht om onze privacy te beschermen. Dat is eigenlijk zoals het had gemoeten, alleen 2 jaar te laat.

[MikeN]

Ik snap dat een DPIA dit soort dingen op zou moeten vangen, maar geen of een brakke DPIA doen kun je niet als 'inbreuk op een laag niveau' kwalificeren (wat de AP wel doet, alhoewel het besluit er inconsistent over is) en je kan niet zeggen dat er wel 'voldaan is aan het beheer van risico's' als er door die actie identiteitsdocumenten onversleuteld over het internet gaan.

Overigens klopt de geschetste volgorde niet. In 2020 (of eind 2019) is al een webportal ingericht. Die DPIA is dus pas helemaal aan het einde uitgevoerd, toen alle systemen al een keer omgegooid waren.

[Reactie gewijzigd door MikeN op 23 juli 2024 11:23]

[CAPSLOCK2000]

Ik kan niet wakker liggen van een gebrek aan DPIA op zich, aan een DPIA heb je uiteindelijk vrij weinig, er zijn nauwelijks consequenties verbonden. Ik maak me voorall zorgen over een organisatie die te gemakzuchtig is om een DPIA te doen of denkt dat niet te hoeven, wat is daar nog meer mis?

Ik heb geen enkel vertrouwen in DPIA's die intern zijn uitgevoerd, die zijn bijna altijd gericht op het zo snel en soepel mogelijk maken voor de organisatie in kwestie. Meestal komt het neer op een zeer incompleet lijstje van data die verzameld wordt en uiteraard is alles écht nodig, zijn alle risico's acceptabel en er zijn passende maatregelen genomen.

Een DPIA begint pas een rol te spelen als er controles komen, bv van de overheid. In praktijk gebeurt dat volgens mij niet of nauwelijks, ik kan me niet herinneren dat ik ooit heb gehoord dat een DPIA onjuist of incompleet bleek na controle. Een organisatie als ICS heeft het blijkbaar een tijd lang helemaal zonder gedaan. Ik ben blij dat er nu wel gecontroleerd is maar 5 jaar na dato voelt het niet echt als een overwinning.

Dit is geen kritiek op DPIA's op zich. Zo'n overzicht is zeker nuttig en het kan een goed hulpmiddel zijn voor wie van goede wil is, zeker als het gedaan wordt door/met experts. Maar ik voel me niet veiliger door een DPIA want het is veel te makkelijk om je er met een nietszeggend flut document vanaf te maken als je niet gemotiveerd bent om het goed te doen.

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 11:23]

[Gwaihir]

Over privacy lekkage en toezicht gesproken: ik zou graag willen dat het verplicht wordt dat je dit soort bedrijven terug kunt bellen, op een gepubliceerd nummer!

Steeds vaker wordt je gebeld door organisaties, zoals ICS, die je vervolgens eerst het hemd van het lijf vragen om vast te stellen dat jij het bent. Dat phishing gedrag zouden ze op die manier verplicht zijn .

Eh.. maar hoe weet ik dan dat de beller is wie deze zegt te zijn? Ik vroeg het onlangs FBTO: "U ziet een FBTO telefoonnummer, meneer." Auch.. als iets makkelijk is te spoofen. En het was niet eens het nummer dat ik op de website kon vinden, maar terugbellen kon ook niet.

Zelf de medewerker terugbellen, via een betrouwbaar terug te vinden nummer (bijv. bedrijfswebsite, of eerdere correspondentie), kan eigenlijk nooit

[Royeboi]

Onzin, je kunt ICS prima zelf bellen via het nummer op hun eigen site. Als je te maken hebt gehad met een ICS medewerker aan de telefoon, kan de klantenservice dit gewoon bevestigen omdat ze daar een notitie van maken.

En zo adviseer ik het altijd te doen, als je een telefoontje niet vertrouwt, natuurlijk niet hetzelfde nummer terug gaan bellen maar zelf op de achterkant van je bankpas of de website van de bank het telefoonnummer bellen voor verificatie. Een echte medewerker van een bank zal je dit ook kunnen uitleggen. Als het een oplichter is wordt er vaak direct druk gezet en wordt proberen te voorkomen dat je de bank gaat bellen.

[Gwaihir]

Als jij - de klant - het niet vertrouwt, dan mag jij - de klant - om de standaard procedure heen zien te werken van de professionals die jou eigenlijk moeten leren het standaard niet te vertrouwen.. Dat vind ik dus fout.

En ik heb er niets aan te kunnen opvragen dat het een legitiem gesprek had kunnen zijn, want dan heeft het - kennelijk noodzakelijke - gesprek niet plaatsgevonden omdat ik de controlevragen niet heb beantwoord en hoor ik toch weer: "U wordt teruggebeld". Door iemand die weer met zulke 'phishing' vragen opent dus..

[Royeboi]

Nee hoor, je kunt worden doorverbonden met de medewerker die je 5 minuten geleden nog aan de telefoon had. Hoeft dus nog geen minuut te duren, je tekst hierboven typen duurde langer ;-).

Als jij inderdaad iets niet vertrouwt is het aan jezelf om dat dan te verifiëren dat lijkt me toch logisch? Wat verwacht je dat een bankmedewerker aan de telefoon nog meer roept om jouw vertrouwen te krijgen dan? Ik zou als klant ook ophangen en gewoon zelf het voor mij bekende nummer bellen, dan zit je tenminste safe.

[edzard]

Al jaren geleden VISA opgezegd (na ruim 30 jaar). Legitimeren, prima. Waar kan ik dat doen ??? Legitimeren houdt in: je legitimatie laten zien, teneinde te laten zien dat jij het bent. NIETS online, niets met telefoons en/of tablets en ZEKER GEEN kopie/scan van je ID. Was er helemaal klaar mee.

[PolarBear]

ZEKER GEEN kopie/scan van je ID.

Kan je vinden maar dat mogen (en moeten) banken (waar ICS onder valt) wel:
https://www.rijksoverheid...-te-geven-aan-een-bedrijf

Kopie identiteitsbewijs
Slechts enkele organisaties mogen om een kopie van uw identiteitsbewijs vragen. Dit zijn bijvoorbeeld:

overheidsinstanties;
banken;
notarissen;
casino’s;
levensverzekeraars;
uw werkgever.

[jaapzb]

Sinds ik via ASN Bank een credit card heb, die via ICS loopt, krijg ik scam-mailtjes van een partij die zich voordoet als ICS en mijn creditcardgegevens wil jatten.

Op een e-mailadres wat alleen bij ICS in de administratie staat, en ik verder nooit voor aankopen gebruik.

Met dit nieuwsbericht als context vind ik het helemaal geen gek idee dat die scammers hun gegevens gewoon rechtstreeks van ICS vandaan hebben.

[CriticalHit_NL]

Oh ik krijg die ICS scam mailtjes ook wel, maar heb helemaal geen CC en overigens geen ASN.

[Dorank]

Ik heb al tig jaar een ICS CC, maar de SPAM/phising voor ICS gegevens komt niet binnen op het bij ICS bekende emailadres.

[ArcticWolf]

Ik krijg al jaren spam/phising voor ICS gegevens (heb een MC rechtstreeks bij ICS), maar er staat op de website eigenlijk duidelijk dat zij nooit om gegevens via de email vragen.
Heb er weleens naar gekeken hoe ik er vanaf kom maar tegenwoordig gaan ze rechtstreeks de spambox in dus het zal allemaal wel.

Banken en financiële instellingen communiceren belangrijke informatie via de post of via de officiële app. Is eigenlijk het belangrijkste wat je moet onthouden, zelfde met de belastingdienst / mijn overheid.

[Royeboi]

ICS kan wel om informatie vragen per e-mail voor KYC verzoeken. In het kader van phishing zou ik echter altijd eerst zelf de bank bellen om te bevestigen dat de mail daadwerkelijk afkomstig is van de afzender. Zoals hier te lezen is wordt ICS maar ook veel andere banken zoals Rabobank veelvuldig misbruikt door oplichters om informatie zoals bankgegevens te ontfutselen.

[ArcticWolf]

Volgens mij was het laatste KYC verzoek toch echt schriftelijk van ICS, maar is ook alweer een tijdje geleden dus kan het mis hebben.
Kan even geen phising mail meer vinden in m'n mailbox maar er staat vaak dat als je niet binnen 2 weken iets mailt naar hun of inlogt (op een phising site) dat dan je CC geblokkeerd wordt ofzo...

[Reactie gewijzigd door ArcticWolf op 23 juli 2024 11:23]

[Royeboi]

Er wordt gebeld, gemaild, en uiteindelijk een brief gestuurd ja. Maar het is dus wel mogelijk dat je per e-mail vragen en/of documentatie moet aanleveren, dat kan niet via de app.

[vanaalten]

Hmmm, ik heb een ICS/VISA credit card via ANWB, met een mailadres dat ik alleen gebruik voor ANWB & ICS/VISA communicatie. En ik krijg geen spam/scan mail op dat adres. Dus ik zie in elk geval nog niet dat scammers ALLE mailadressen hebben - in elk geval niet die van mij.

[Anoniem: 1576590]

jaapzb schreef:

Op een e-mailadres wat alleen bij ICS in de administratie staat, en ik verder nooit voor aankopen gebruik.

Kan het zijn dat ASN ook dat e-mailadres kent?

Daarnaast gebruiken veel bedrijven derde partijen voor het verzenden van bulkmail. Bij die clubs vinden regelmatig datalekken plaats, het is hiermee niet zeker dat jouw e-mailadres vanuit ICS gelekt is (alhoewel ik dat zeker ook niet uitsluit; als je geen DPIA uitvoert, hoe goed screen je dan je medewerkers?).

[The Zep Man]

De AVG-boete bedraagt 150.000 euro,

De AP oordeelt dat ICS in 2019 een DPIA had moeten uitvoeren, omdat het toen begon met het digitaal identificeren van nieuwe klanten in Nederland. Volgens de AP deed het bedrijf dat met ongeveer 1,5 miljoen mensen. Het ging daarbij ook om gevoelige gegevens, zo stelt de privacytoezichthouder. Naast namen, adressen, telefoonnummers en e-mailadressen, ging het bijvoorbeeld om foto's van klanten.

Dus onrechtmatig gebruik NAW + gevoelige gegevens kost potentieel 10 cent p.p.. Dat kan best wel eens een koopje zijn, gebaseerd op de use case en het verdienmodel. Waarschijnlijk zelfs goedkoper dan de juiste weg bewandelen. Ook is het helemaal niet zeker of die 10 cent p.p. betaald hoeft te worden door de ondercapaciteit van de AP.

Een organisatie kan het relatief kleine bedrag opzij zetten en eventueel apart investeren, om zo (in het ergste geval) de toekomstige boete tot effectief nul te krijgen onder de streep.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 11:23]

[GurbieV]

Nee, het was rechtmatig gebruik. Dat staat ook duidelijk in het artikel.

Ze hadden alleen de risico analyse niet uitgevoerd.

[karma4]

De vraag is of de DPIA zo overdreven nodig is omdat het om een wettelijke verplichting gaat.

[MikeN]

Ook bij het uitvoeren van wettelijke verplichtingen is een DPIA nodig, tenzij een DPIA bij het invoeren van de wetgeving al is gedaan.

Zie de AVG artikel 35(10) hiervoor of de EDPB guidelines, pagina 13, tweede bullet: https://ec.europa.eu/newsroom/article29/items/611236/en

[karma4]

De wetgeving bestaat al tientallen jaren. Naam adres BSN met een identiteitsbewijs is al zeer lang wettelijk verplicht. De controle eisen worden via EU wetgeving zoals PSD2 enkel aangescherpt.

Dat artikel 35 ken ik de pijn zit in "“likely to result in a high risk” daar zit een eigen interpretatie van de AP.
Je document helpt niet. Alle navolgende voorbeelden komen niet in de buurt van deze situatie.
ALs de AP zelf medewerkers bij banken zou willen nalopen voor een VOG dan is het duidelijk dat de interpretatie en eigen uitleg niet klopt.

[MikeN]

Tsjah, specifiek in dit geval voldoet de verwerking aan criterium 4 en 5 (sensitive data en large-scale) van de EDPB richtlijnen. Als jij vindt dat de verwerking van 1,5 miljoen kopieën van identiteitsdocumenten niet mogelijk een hoog risico op zou kunnen leveren dan mag je dat vinden. In ieder geval de AP is een andere mening toegedaan, en ik zie eerlijkgezegd niet in hoe je de risico's van zo'n verwerking niet in kan zien, gelet op de mogelijkheid van identiteitsfraude.

[karma4]

De AP heeft erkend dat het verzamelen en bewaren conform wettelijke richtlijnen is.

Ze maakten zich druk over een document welke de wettelijke verlpichting benoemd.

[MikeN]

Een DPIA omvat wel wat meer dan alleen bepalen of er een grondslag is voor de verwerking. Het gaat ook om een omschrijving van de verwerking, de risico's die daarbij komen kijken en hoe je die risico's aanpakt.

Gezien ICS initieel vroeg om de kopieën van IDs maar via email op te sturen was er overduidelijk niet nagedacht over de risico's die daarbij komen kijken.

[Dorank]

DPAI is verplicht, het niet invoeren heeft geleid tot een boete. DPAI moest alsnog worden ingevoerd, maar nu zijn er 150k EUR extra kosten verbonden aan de invoering. Dat is geen koopje, dat was een kostenpost die voorkomen had kunnen worden.

edit: volgens artikel is het alsnog doorgevoerd in 2021.

[Reactie gewijzigd door Dorank op 23 juli 2024 11:23]

[FrostyPeet]

ICS is een van de weinige, zo niet enige(?), "echte" Nederlandse fysieke VISA prepaid creditcard aanbieders. Als je niet naar de N26/Revolut-achtige instellingen wilt, kom je vanzelf bij hen uit.

Inderdaad, authenticatie met een ICS app. Scan maken van id-kaart, scan maken van gezicht op diverse afstanden. Na een keer of vier lukte het uiteindelijk. Zijn nogal wat eisen qua belichting, reflectie, houding etc. Dan nog bankrekening verificatie. Je geeft je hele hebben en houden aan ICS.

Ik vermoed dat binnenkort de premie wel omhoog zal gaan.

[Anoniem: 1576590]

FrostyPeet schreef:

ICS is een van de weinige, zo niet enige(?), "echte" Nederlandse fysieke VISA prepaid creditcard aanbieders.

Ik ken mensen met een Triodos bankrekekening, zij krijgen sinds kort automatisch een VISA debitcard (als vervanging van de "gewone" bankpas) - buiten ICS om.

Eén van hen vertelde mij dat je daar nog niet overal mee kunt betalen, o.a. in sommige parkeergarages (bloedirritant natuurlijk).

[laurxp]

Een debitcard is wat anders dan een creditcard. Ze worden niet op dezelfde plekken geaccepteerd, en er zijn bijvoorbeeld verschillen in aansprakelijkheid bij fraude.

[Anoniem: 1576590]

Door laurxp:

Een debitcard is wat anders dan een creditcard. Ze worden niet op dezelfde plekken geaccepteerd, en er zijn bijvoorbeeld verschillen in aansprakelijkheid bij fraude.

Tevens aan @Prosperot: ik weet hier beslist niet het fijne van, maar in deze pagina lees ik dat je er wel wereldwijd online mee kunt betalen (wat vziw niet kan met een IBAN, tenzij iDEAL beschikbaar is).

De risico's liggen, zo te zien, wél volledig bij de klant. Het lijkt dus verstandig om, als je er online mee betaalt, zoveel mogelijk saldo van je bankrekening naar een spaarrekening te verplaatsen.

[cariolive23]

Correct, met een Mastercard of VISA card (debit en/of credit) kun je online betalen. Werkt ook met Apple, Google en Samsung Pay, heb je dus geen iDeal voor nodig. Debit of credit maakt niet uit, protocol is hetzelfde.

iDeal is imho dan ook een achterhaald en omslachtig protocol, waar "men" angstvallig aan vast houdt. Of ik online nou iets bestel in Singapore, Japan of de VS, m'n card werkt gewoon. Geen gedoe, 1x touch- of face-id en klaar ben ik.

[kimborntobewild]

Het is dus een debit-card van Triodos. Geen credit-card.
Het is me nog niet duidelijk. Kan ik nu wel of niet online betalen met een debit-card, als ik in een webwinkel klik op credit-card?

[cariolive23]

Ja, dat werkt in elk geval hier in de USA

[Prosperot]

Een debit card is wat anders dan een prepaid debid card...

[R4gnax]

De Paymen Services Directive 2 stelt enkel dat er 'sterke cliëntauthenticatie' voor online betalingen moet plaatsvinden (Artikel 97) waarbij men verwijst naar normen die in samenspraak met de industrie opgesteld zijn door de Europese Bank Authoriteit (EBA) en Europese Central Bank (ECB).

Sterke cliëntauthenticatie houdt in de regel in dat er cryptografische controle plaats moet vinden en gebruik gemaakt moet worden van zaken sterker dan enkel een wachtwoord.

Over het afsluiten van een contract voor een creditcard en op welke concrete wijzen de identiteit van de kaarthouder in spe initieel vastgesteld zou moeten of kunnen worden, zegt de PSD2 bij mijn weten niets.


Daarnaast is de PSD2 een richtlijn die in nationale wetgeving omgezet moet worden, waar de GDPR/AVG een verordening is die direct van kracht is zonder omzetting en die stelt dat waar er conflicten zijn met andere EU verordeningen, richtlijnen, of nationale wetgeving, de GDPR prevaleert - punt.

[Reactie gewijzigd door R4gnax op 23 juli 2024 11:23]

[karma4]

PSD2 is een uitbreiding op het gehele betalingsverkeer stelsel. Zeker niet iets wat via nationale wetgeving gedaan wordt. De DNB is een bijkantoor van Brussel geworden. De ECB houdt toezicht.
https://www.dnb.nl/betrou...-financiele-instellingen/

[R4gnax]

PSD2 is een uitbreiding op het gehele betalingsverkeer stelsel. Zeker niet iets wat via nationale wetgeving gedaan wordt.

https://eur-lex.europa.eu...TML/?uri=CELEX:32015L2366
Artikel 115 Omzetting

[karma4]

Atrikelen 97 98 in je referentie gaan over de authenticatie. Als vervanging van een voorgaande goed voorbeeld.

Er was meer recent commotie over kan ik.niet goed plaatsen
Niet veranderd de vetanderde rol toezichthouder.
https://zoek.officielebekendmakingen.nl/kst-34813-B.html

[t_captain]

ICS is een van de grootste uitgevers van creditcards in Nederland. Vanwege de aard van de handel (creditcards) en de omvang, mag je als consument verwachten dat ze alls bebeiligings- en privacyrisico’s minitieus op orde hebben.

[cariolive23]

Daar werken gewoon mensen, en die maken fouten.

[IrBaboon79]

ICS - jaren lang een anwb visa gehad tot ze opeens met een kletsbrief kwamen over verplichte financiële zorgplicht e.d. Dus ik moest maar een heel formulier invullen met allerlei gegevens die ze niks aanging anders gingen ze de boel blokkeren... Per direct opgezegd natuurlijk. CC van de bank genomen, die hebben die info toch al nml en dan hoef ik het niet aan ICS te geven...